ASSOCIAZIONE DEGLI INDUSTRIALI DELLA PROVINCIA DI TRIESTE Trieste, 28 Febbraio 2007 I profili operativi del Codice della privacy in azienda: come impostare.

Presentazione sul tema: "ASSOCIAZIONE DEGLI INDUSTRIALI DELLA PROVINCIA DI TRIESTE Trieste, 28 Febbraio 2007 I profili operativi del Codice della privacy in azienda: come impostare."— Transcript della presentazione:

1 ASSOCIAZIONE DEGLI INDUSTRIALI DELLA PROVINCIA DI TRIESTE Trieste, 28 Febbraio 2007 I profili operativi del Codice della privacy in azienda: come impostare l’adeguamento privacy delle attivita’ di impresa. Le sanzioni in caso di inadempimento. Come gestire le verifiche ispettive in azienda del Nucleo Speciale “Funzione Pubblica e privacy” della Guardia di Finanza Avv. Alessandro del Ninno Responsabile del Dipartimento di Information & Communication Technology STUDIO LEGALE TONUCCI www.tonucci.it www.sunapsis.it adelninno@tonucci.it www.tonucci.it www.sunapsis.it adelninno@tonucci.it

2 D.lgs. 30 Giugno 2003 n. 196 Codice della privacy PRINCIPI GENERALI

3 D.lgs. 30 Giugno 2003 n. 196 Codice della privacy Il Codice della privacy - in vigore dal 1° gennaio 2004 - riunisce in un Testo Unico la nota legge 675/1996 - ora abrogata - e gli altri decreti legislativi disciplinanti trattamenti di dati personali in particolari settori, regolamenti e codici deontologici che si sono succeduti in questi anni, e contiene altresì rilevanti innovazioni tenendo conto dei più importanti provvedimenti e decisioni adottati dall’Autorità Garante per la protezione dei dati personali e della direttiva UE 2000/58 sulla riservatezza nelle comunicazioni elettroniche.

4 Struttura del Codice della Privacy Il Codice è diviso in tre parti: la prima (artt. 1-45) dedicata alle disposizioni generali, riordinate in modo tale da trattare tutti gli adempimenti e le regole del trattamento con riferimento ai settori pubblico e privato. la seconda (artt. 46- 140) è la parte speciale dedicata a specifici settori: questa sezione, oltre a disciplinare aspetti in parte inediti (informazione giuridica, notificazioni di atti giudiziari, dati sui comportamenti debitori), completa anche la disciplina attesa da tempo per il settore degli organismi sanitari e quella dei controlli sui lavoratori.

5 Struttura del Codice della Privacy la terza (artt. 141-186) affronta la materia delle tutele amministrative e giurisdizionali con il consolidamento delle sanzioni amministrative e penali e con le disposizioni relative all'Ufficio del Garante. Va inoltre ricordato l’importante obbligo per i titolari del trattamento di osservare le norme esterne al Codice della privacy (es: Autorizzazioni Generali al trattamento dei dati sensibili, codici di deontologia settoriali, etc).

6 Informativa agli Interessati (art. 13) Rimane fermo l'adempimento dell'informativa agli interessati preventiva al trattamento dei dati personali, sempre obbligatoria anche quando non è necessario richiedere il consenso dell’interessato. Si segnala che la resa di informative “standard” spesso in uso nelle aziende può non essere rispondente ai requisiti richiesti dall’art. 13 del Codice privacy. Vanno cioè strutturate informative specifiche a seconda dei trattamenti di dati, ad esempio:

7 1. Informativa ai lavoratori dell’azienda per i trattamenti di dati nell’ambito del rapporto di lavoro; 2. Informativa ai clienti; 3. Informativa ai fornitori; 4. Informativa specifica per campagne di marketing (es: cfr. Provvedimento del Garante su fidelity card); 5. Informativa su impianti di videosorveglianza.

8 Consenso (art. 23) Il trattamento di dati personali da parte di privati o di enti pubblici economici è ammesso solo con il consenso espresso dell'interessato. Il consenso: 1. può riguardare l'intero trattamento ovvero una o più operazioni dello stesso; 2. è validamente prestato solo se è espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, se è documentato per iscritto, e se sono state rese all'interessato le informazioni di cui all'articolo 13; 3. è manifestato in forma scritta quando il trattamento riguarda dati sensibili.

9 INFORMATIVA AGLI INTERESSATI E RICHIESTA DEL CONSENSO AL TRATTAMENTO DEI DATI PERSONALI Volendo riepilogare le principali regole operative, si ricordi che: 1. L’informativa, redatta ai sensi dell’articolo 13 del Codice della privacy, è sempre obbligatoria, anche quando non è necessario richiedere il consenso al trattamento da parte dell’interessato; 2. Il trattamento di dati ordinari da parte di soggetti privati o enti pubblici economici è ammesso solo con il consenso (espresso ed informato, anche prestato oralmente ma documentato per iscritto, mai presunto, acquisito prima dell’inizio del trattamento) dell’interessato, ad eccezione dei casi previsti dall’articolo 24 del Codice della privacy, per i quali non è necessario acquisire il consenso; 3. Il trattamento di dati “sensibili” è ammesso solo con il consenso scritto dell’interessato e previa l’autorizzazione del Garante; 4. Il trattamento dei dati giudiziari da parte di privati ed enti pubblici economici è consentito soltanto se autorizzato da espressa disposizione di legge o provvedimento del Garante che specifichino le rilevanti finalità di interesse pubblico del trattamento, i tipi di dati trattati e le operazioni eseguibili dunque non serve, alla presenza di tali presupposti, il consenso dell’interessato).

10 CASI DI DEROGA ALL’OBBLIGO DI RICHIEDERE IL CONSENSO AL TRATTAMENTO Per quanto riguarda il trattamento dei dati ordinari, non è necessario acquisire il consenso (ma è obbligatorio rendere l’informativa) tra l’altro nei seguenti casi di maggiore interesse per le imprese, e cioè quando il trattamento: 1. è necessario per adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria; 2. è necessario per eseguire obblighi derivanti da un contratto del quale è parte l'interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell'interessato; 3. riguarda dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, fermi restando i limiti e le modalità che le leggi, i regolamenti o la normativa comunitaria stabiliscono per la conoscibilità e pubblicità dei dati;

11 4. riguarda dati relativi allo svolgimento di attività economiche, trattati nel rispetto della vigente normativa in materia di segreto aziendale e industriale; 5. con esclusione della diffusione, è necessario per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento, nel rispetto della vigente normativa in materia di segreto aziendale e industriale; 6. con esclusione della diffusione, è necessario, nei casi individuati dal Garante sulla base dei principi sanciti dalla legge, per perseguire un legittimo interesse del titolare o di un terzo destinatario dei dati, anche in riferimento all'attività di gruppi bancari e di società controllate o collegate, qualora non prevalgano i diritti e le libertà fondamentali, la dignità o un legittimo interesse dell'interessato; 7. con esclusione della comunicazione all'esterno e della diffusione, è effettuato da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, in riferimento a soggetti che hanno con essi contatti regolari o ad aderenti, per il perseguimento di scopi determinati e legittimi individuati dall'atto costitutivo, dallo statuto o dal contratto collettivo, e con modalità di utilizzo previste dall’informativa.

12 CASI DI DEROGA ALL’OBBLIGO DI RICHIEDERE IL CONSENSO AL TRATTAMENTO Per quanto riguarda il trattamento dei dati sensibili, non è necessario acquisire il consenso scritto (ma è obbligatorio rendere l’informativa) tra l’altro nei seguenti casi di maggiore interesse per le imprese: 1. quando il trattamento è necessario per adempiere a specifici obblighi o compiti previsti dalla legge, da un regolamento o dalla normativa comunitaria per la gestione del rapporto di lavoro, anche in materia di igiene e sicurezza del lavoro e della popolazione e di previdenza e assistenza, nei limiti previsti dall'autorizzazione del Garante e ferme restando le disposizioni del futuro codice di deontologia e di buona condotta in ambito lavoristico (in tal caso non è necessario richiedere il consenso, ma occorre rispettare l’Autorizzazione generale applicabile ed il codice deontologico); 2. nel caso di trattamento dei dati riguardanti l'adesione di associazioni od organizzazioni a carattere sindacale o di categoria ad altre associazioni, organizzazioni o confederazioni a carattere sindacale o di categoria (in tal caso non solo non è necessario il consenso, ma neanche conformarsi all’autorizzazione del Garante).

13 Titolare del trattamento (art. 28) Per quanto riguarda i soggetti che effettuano il trattamento, rispetto alla normativa previgente, l'art. 28 chiarisce che nel caso in cui il trattamento è effettuato da una persona giuridica, da una pubblica amministrazione o da altro ente, “titolare” è l'entità nel suo complesso, oppure l'unità periferica che esercita un potere decisionale autonomo sulle finalità del trattamento, anziché la persona fisica incardinata nell'organo o preposta all'ufficio.

14 Responsabile del trattamento (art. 29) L'art. 29, per fugare ogni possibile dubbio interpretativo emerso in qualche caso, chiarisce ancor più che la nomina del responsabile è meramente facoltativa e compete al solo titolare. Inoltre: 1. se designato, il responsabile è individuato tra soggetti che per esperienza, capacità ed affidabilità forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza. 2. ove necessario per esigenze organizzative, possono essere designati responsabili più soggetti, anche mediante suddivisione di compiti. 3. i compiti affidati al responsabile sono analiticamente specificati per iscritto dal titolare.

15 ASPETTI ORGANIZZATIVI: ORGANIGRAMMA E DELEGHE PRIVACY ALL’INTERNO DELL’AZIENDA Art. 29 - Responsabile del trattamento Il responsabile è designato dal titolare facoltativamente. Se designato, il responsabile è individuato tra soggetti che per esperienza, capacità ed affidabilità forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza. Ove necessario per esigenze organizzative, possono essere designati responsabili più soggetti, anche mediante suddivisione di compiti. I compiti affidati al responsabile sono analiticamente specificati per iscritto dal titolare. Il responsabile effettua il trattamento attenendosi alle istruzioni impartite dal titolare il quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza delle disposizioni in materia di trattamento e delle proprie istruzioni

16 ASPETTI ORGANIZZATIVI: ORGANIGRAMMA E DELEGHE PRIVACY ALL’INTERNO DELL’AZIENDA Art. 29 - Responsabile del trattamento Rapporti tra titolare e responsabile del trattamento: 1. sul piano organizzativo interno (es: ripartizione funzioni controllo incaricati) 2. sul piano della ripartizione delle responsabilità verso terzi (art. 2049 c.c., art 15 del Codice della privacy) 3. sul piano dei rapporti lavoristici (in caso si responsabile interno all’azienda) 4. sul piano dei rapporti contrattuali (in caso di outsourcing)

17 ASPETTI ORGANIZZATIVI: ORGANIGRAMMA E DELEGHE PRIVACY ALL’INTERNO DELL’AZIENDA Responsabile del trattamento esterno all’azienda Aspetti fondamentali da considerare: 1. Particolare attenzione nella stesura di accordi contrattuali: (definizione ambito del trattamento, istruzioni, verifiche, chiara definizione delle responsabilità generali e privacy, assolvimento obblighi informativa tra le parti, previsione contrattuale della destinazione dei dati forniti alla cessazione dell’incarico, etc). 2. Misure di sicurezza: verifica preliminare delle misure di sicurezza adottate dal responsabile esterno (es: farsi consegnare DPS, ove esistente)

18 ASPETTI ORGANIZZATIVI: ORGANIGRAMMA E DELEGHE PRIVACY ALL’INTERNO DELL’AZIENDA Responsabile del trattamento esterno all’azienda: l’appalto all’esterno di particolari servizi Servizio di sicurezza (vigilanza privata, videosorveglianza, controllo accessi dei lavoratori) Aspetti fondamentali da considerare: 1. Rispetto da parte del responsabile del Provvedimento Generale del Garante sulla Videosorveglianza del 29 Aprile 2004. 2. Rispetto del Provvedimento Generale del Garante su uso delle impronte digitali per i sistemi di rilevamento delle presenze nei luoghi di lavoro

19 ASPETTI ORGANIZZATIVI: ORGANIGRAMMA E DELEGHE PRIVACY ALL’INTERNO DELL’AZIENDA Responsabile del trattamento esterno all’azienda: l’appalto all’esterno di particolari servizi Implementazione misure minime di sicurezza DICHIARAZIONE DI CONFORMITA’ Punto 25 del Disciplinare Tecnico in materia di misure minime di sicurezza - Allegato B al Codice della privacy Il titolare che adotta misure minime di sicurezza avvalendosi di soggetti esterni alla propria struttura, per provvedere alla esecuzione riceve dall'installatore una descrizione scritta dell'intervento effettuato che ne attesta la conformità alle disposizioni del disciplinare tecnico. Aspetti di responsabilità contrattuale.

20 ASPETTI ORGANIZZATIVI: ORGANIGRAMMA E DELEGHE PRIVACY ALL’INTERNO DELL’AZIENDA Art. 30 - Incaricati del trattamento Le operazioni di trattamento possono essere effettuate solo da incaricati che operano sotto la diretta autorità del Titolare o del Responsabile (art. 2049 c.c.), attenendosi alle istruzioni impartite. La designazione è effettuata per iscritto e individua puntualmente l’ambito del trattamento consentito. Si considera tale anche la documentata preposizione della persona fisica ad una unità per la quale è individuato per iscritto l’ambito del trattamento consentito agli addetti all’unità medesima. Contratto di lavoro: clausole privacy Rapporto tra mansionario e privacy Responsabilità del dipendente per violazioni privacy=responsabilità lavoristica=sanzioni disciplinari

21 IL TRATTAMENTO DEI DATI PER FINALITA’ DI PROMOZIONE COMMERCIALE DELL’AZIENDA Art. 140 del Codice della privacy Il Garante promuove la sottoscrizione di un codice di deontologia e di buona condotta per il trattamento dei dati personali effettuato a fini di invio di materiale pubblicitario o di vendita diretta, ovvero per il compimento di ricerche di mercato o di comunicazione commerciale, prevedendo anche, per i casi in cui il trattamento non presuppone il consenso dell'interessato, forme semplificate per manifestare e rendere meglio conoscibile l'eventuale dichiarazione di non voler ricevere determinate comunicazioni.

22 IL TRATTAMENTO DEI DATI PER FINALITA’ DI PROMOZIONE COMMERCIALE DELL’AZIENDA Opposizione del Cliente al trattamento dei dati personali per finalità di marketing (art. 7, co. 4 del Codice della privacy) L'interessato ha diritto di opporsi, in tutto o in parte: a) per motivi legittimi al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta; b) al trattamento di dati personali che lo riguardano a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale.

23 IL TRATTAMENTO DEI DATI PER FINALITA’ DI PROMOZIONE COMMERCIALE DELL’AZIENDA E-MAIL MARKETING Aspetti fondamentali da considerare: 1. e-mail è dato personale (vedi art. 4, co. 3. lett. m del Codice della privacy) 2. rapporto tra art. 130 del Codice della privacy (Comunicazioni indesiderate) e il nuovo d.lgs. recante il Codice del Consumo; 3. uso della e-mail per finalità di marketing nei rapporti B2B e decreto legislativo 70/2003 4. il Provvedimento Generale 9 Settembre 2003 del Garante su “E-mail spamming”. 5. responsabilità penali: reclusione da sei a diciotto mesi o da sei a ventiquattro mesi per spamming.

24 IL TRATTAMENTO DEI DATI PER FINALITA’ DI PROMOZIONE COMMERCIALE DELL’AZIENDA E-MAIL MARKETING: REGOLE PARTICOLARI L'uso di sistemi automatizzati di chiamata senza l'intervento di un operatore (non solo e-mail ma anche telefax, messaggi del tipo Mms (Multimedia Messaging Service) o Sms (Short Message Service) o di altro tipo) per l'invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale è consentito con il consenso dell'interessato (opt-in).

25 IL TRATTAMENTO DEI DATI PER FINALITA’ DI PROMOZIONE COMMERCIALE DELL’AZIENDA E-MAIL MARKETING: REGOLE PARTICOLARI Al di fuori di questi casi, ulteriori comunicazioni per l'invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale effettuate con mezzi diversi da quelli ivi indicati, sono consentite ai sensi degli articoli 23 e 24 del Codice della privacy (dunque o richiesta di consenso preventiva o assenza dell’obbligo di richiedere il consenso ai sensi dell’art. 24, ad esempio: per adempiere ad obblighi contrattuali, per rispondere a specifiche richieste dell’interessato, per trattamenti di dati riguardanti lo svolgimento di attività economiche, per perseguire un legittimo interesse del titolare o di un terzo, per elaborazioni statistiche).

26 IL TRATTAMENTO DEI DATI PER FINALITA’ DI PROMOZIONE COMMERCIALE DELL’AZIENDA E-MAIL MARKETING: REGOLE PARTICOLARI Fatto salvo quanto abbiamo appena visto se il titolare del trattamento utilizza, a fini di vendita diretta di propri prodotti o servizi, le coordinate di posta elettronica fornite dall'interessato nel contesto della vendita di un prodotto o di un servizio, può non richiedere il consenso dell'interessato, sempre che si tratti di servizi analoghi a quelli oggetto della vendita e l'interessato, adeguatamente informato, non rifiuti tale uso, inizialmente o in occasione di successive comunicazioni. L'interessato, al momento della raccolta e in occasione dell'invio di ogni comunicazione effettuata per finalità commerciali, è informato della possibilità di opporsi in ogni momento al trattamento, in maniera agevole e gratuitamente.

27 IL TRATTAMENTO DEI DATI PER FINALITA’ DI PROMOZIONE COMMERCIALE DELL’AZIENDA E-MAIL MARKETING: REGOLE PARTICOLARI E' vietato in ogni caso l'invio di comunicazioni elettroniche a scopo promozionale, effettuato camuffando o celando l'identità del mittente o senza fornire un idoneo recapito presso il quale l'interessato possa esercitare i diritti di cui all'articolo 7 del Codice. In caso di reiterata violazione il Garante può altresì prescrivere a fornitori di servizi di comunicazione elettronica di adottare procedure di filtraggio o altre misure praticabili relativamente alle coordinate di posta elettronica da cui sono stati inviate le comunicazioni.

28 L’IMPIANTO SANZIONATORIO DEL CODICE DELLA PRIVACY. LE VIOLAZIONI SANZIONATE IN VIA AMMINISTRATIVA

29 L’IMPIANTO SANZIONATORIO DEL CODICE DELLA PRIVACY: LE VIOLAZIONI SANZIONATE IN VIA AMMINISTRATIVA Art. 161 - Omessa o inidonea informativa all’interessato La violazione delle disposizioni che obbligano il Titolare del trattamento a rendere agli interessati idonea e preventiva Informativa (art. 13 del Codice) è punita con la sanzione amministrativa del pagamento di una somma: da tremila euro a diciottomila euro se il trattamento su cui non è stata resa o è stata resa in maniera inidonea l’Informativa riguarda dati personali comuni; da cinquemila euro a trentamila euro se il trattamento su cui non è stata resa o è stata resa in maniera inidonea l’Informativa riguarda: 1. dati sensibili o giudiziari; 2. è un trattamento di dati diversi da quelli sensibili e giudiziari che, in relazione alla natura dei dati o alle modalità del trattamento o agli effetti che può determinare, presenta rischi specifici o, comunque, di maggiore rilevanza del pregiudizio per i diritti e le libertà fondamentali, nonché per la dignità dell'interessato. La somma può essere aumentata sino al triplo quando risulta inefficace in ragione delle condizioni economiche del contravventore.

30 Art. 162 Violazione delle norme sulla cessione dei dati L’articolo 16 del Codice della Privacy prevede che in caso di cessazione, per qualsiasi causa, di un trattamento i dati sono: a) distrutti; b) ceduti ad altro titolare, purché destinati ad un trattamento in termini compatibili agli scopi per i quali i dati sono raccolti; c) conservati per fini esclusivamente personali e non destinati ad una comunicazione sistematica o alla diffusione; d) conservati o ceduti ad altro titolare, per scopi storici, statistici o scientifici, in conformità alla legge, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di buona condotta. La cessione dei dati in violazione di quanto previsto dall'articolo 16, comma 1, lettera b), o di altre disposizioni in materia di disciplina del trattamento dei dati personali è punita con la sanzione amministrativa del pagamento di una somma da cinque mila euro a trentamila euro.

31 Art. 163 Omessa o incompleta notificazione Chiunque, essendovi tenuto: a) non provvede tempestivamente alla notificazione ai sensi degli articoli 37 e 38 del Codice della Privacy; b) ovvero indica in essa notizie incomplete; è punito con: 1) la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro 2) la sanzione amministrativa accessoria della pubblicazione dell'ordinanza-ingiunzione, per intero o per estratto, in uno o più giornali indicati nel provvedimento che la applica.

32 Art. 164 Omessa informazione o esibizione al Garante Chiunque omette di fornire le informazioni o di esibire i documenti richiesti dal Garante: 1) in occasione della discussione di un ricorso davanti al Garante; 2) in occasione delle ordinarie attività di accertamento, ispezione e controllo del Garante; è punito con la sanzione amministrativa del pagamento di una somma da quattromila euro a ventiquattro mila euro.

33 L’IMPIANTO SANZIONATORIO DEL CODICE DELLA PRIVACY. GLI ILLECITI PENALI

34 L’IMPIANTO SANZIONATORIO DEL CODICE DELLA PRIVACY: GLI ILLECITI PENALI Art. 167 Trattamento illecito di dati Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione: A) delle norme del Codice (artt. 18 e 19) in materia di rispetto da parte dei soggetti pubblici dei principi di liceità generale dei trattamenti di dati comuni); B) delle norme del Codice in materia di acquisizione del consenso (art. 23); C) delle norme in materia di trattam,ento di dati nell’ambito di servizi di comunicazione elettronica, con particolare riferimento a:

35 Art. 167 Trattamento illecito di dati C.1) trattamento di dati relativi al traffico (art. 123); C.2) trattamento dei dati relativi all’ubicazione (art. 126); C.3) trattamento dei dati nell’ambito di elenchi di abbonati (art. 129); C.4) trattamento dei dati a fini di comunicazioni elettroniche non sollecitate (art. 130); è punito, se dal fatto deriva nocumento, con la reclusione da sei a diciotto mesi o, se il fatto consiste nella comunicazione o diffusione, con la reclusione da sei a ventiquattro mesi.

36 Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione: A) delle norme del Codice in materia di trattamenti che presentano particolari rischi per gli interessati (art. 17); B) delle norme del Codice in materia di trattamenti di dati sensibili o giudiziari svolti da soggetti pubblici (artt. 20, 21); C) delle norme del Codice in materia di trattamenti di dati idonei a rivelare lo stato di salute da soggetti pubblici in base ad espressa previsione normativa (artt. 22, commi 8 e 11); D) delle norme del Codice in materia di divieto di comunicazione o diffusione dei dati personali (art. 25); E) delle norme in materia di trattamento di dati sensibili o giudiziari svolti da soggetti privati (artt. 26 e 27); è punito, se dal fatto deriva nocumento, con la reclusione da uno a tre anni.

37 Art. 169 Omessa adozione delle misure di sicurezza Chiunque, essendovi tenuto, omette di adottare le misure minime di sicurezza è punito con l'arresto sino a due anni o con l'ammenda da diecimila euro a cinquantamila euro. Procedimento del ravvedimento operoso: All'autore del reato, all'atto dell'accertamento o, nei casi complessi, anche con successivo atto del Garante, è impartita una prescrizione fissando un termine per la regolarizzazione non eccedente il periodo di tempo tecnicamente necessario, prorogabile in caso di particolare complessità o per l'oggettiva difficoltà dell'adempimento e comunque non superiore a sei mesi. Nei sessanta giorni successivi allo scadere del termine, se risulta l'adempimento alla prescrizione, l'autore del reato è ammesso dal Garante a pagare una somma pari a 12.500 Euro. L'adempimento e il pagamento estinguono il reato.

38 Art. 168 Falsità nelle dichiarazioni e notificazioni al Garante Chiunque: A) nella notificazione di cui all'articolo 37; B) o in comunicazioni, atti, documenti o dichiarazioni resi o esibiti in un procedimento dinanzi al Garante o nel corso di accertamenti; dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi, è punito, salvo che il fatto costituisca più grave reato, con la reclusione da sei mesi a tre anni Dunque tale caso è diverso e più grave rispetto alla violazione amministrativa consistente nella incompleta od omessa notificazione.

39 Altre fattispecie penalmente rilevanti (artt. 170, 171 e 172) Chiunque, essendovi tenuto, non osserva le prescrizioni contenute: A) nel sistema delle Autorizzazioni Generali sul trattamento dei dati sensibili (art. 26, co. 2);; B) nell’Autorizzazione sul trattamento di dati genetici e dei donatori di midollo osseo (art. 90); C) nel provvedimento con il quale il Garante, in occasione di un ricorso presentato all’Autorità, dispone l’immediato blocco, la sospensione del trattamento od ordina al Titolare la cessazione del comportamento illegittimo è punito con la reclusione da tre mesi a due anni.

40 Altre fattispecie penalmente rilevanti (artt. 170, 171 e 172) Sono punite, salvo che il fatto non costituisca più grave reato, con l'ammenda da Euro 51,16 ad Euro 516,00 o con l'arresto da 15 giorni ad un anno le fattispecie di violazione delle norme della L. 300/1970 (Statuto dei Lavoratori) di cui all’articolo 4 (Divieto di controllo a distanza dei lavoratori) e articolo 8 (divieto di indagini sulle opinioni). Nei casi più gravi le pene dell'arresto e dell'ammenda sono applicate congiuntamente. Quando, per le condizioni economiche del reo, l'ammenda può presumersi inefficace anche se applicata nel massimo, il giudice ha facoltà di aumentarla fino al quintuplo. L'autorità giudiziaria ordina la pubblicazione della sentenza penale di condanna nei modi stabiliti dall'art. 36 del codice penale. La condanna per uno dei delitti previsti dal Codice della Privacy importa la pubblicazione della sentenza.

41 LE SANZIONI CIVILISTICHE. IL RISARCIMENTO DEL DANNO DA TRATTAMENTO DI DATI PERSONALI (ART. 15)

42 LE SANZIONI SUL PIANO CIVILISTICO: IL RISARCIMENTO DEL DANNO DA TRATTAMENTO DI DATI PERSONALI (ART. 15) Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'articolo 2050 del codice civile. Il danno non patrimoniale è risarcibile anche in caso di violazione delle norme che stabiliscono i principi generali di liceità e correttezza dei trattamenti e dei requisiti dei dati (art. 11).

43 IL POTERE DI ACCERTAMENTO E DI CONTROLLO DEL GARANTE CONTROLLI DELLA GUARDIA DI FINANZA

44 IL POTERE DI ACCERTAMENTO E DI CONTROLLO DEL GARANTE (ARTT. 157-160) Per l'espletamento dei propri compiti il Garante può richiedere al titolare, al responsabile, all'interessato o anche a terzi di fornire informazioni e di esibire documenti (anche via facsimile o via e-mail). Il Garante può disporre accessi a banche di dati, archivi o altre ispezioni e verifiche nei luoghi ove si svolge il trattamento o nei quali occorre effettuare rilevazioni comunque utili al controllo del rispetto della disciplina in materia di trattamento dei dati personali. Il Garante si avvale anche, ove necessario, della collaborazione di altri organi dello Stato. Gli accertamenti, se svolti in un'abitazione o in un altro luogo di privata dimora o nelle relative appartenenze, sono effettuati con l'assenso informato del titolare o del responsabile, oppure previa autorizzazione del presidente del tribunale competente per territorio in relazione al luogo dell'accertamento, il quale provvede con decreto motivato senza ritardo, al più tardi entro tre giorni dal ricevimento della richiesta del Garante quando è documentata l'indifferibilità dell'accertamento.

45 IL POTERE DI ACCERTAMENTO E DI CONTROLLO DEL GARANTE (ARTT. 157-160) Nel procedere a rilievi e ad operazioni tecniche il personale del Garante operante può altresì estrarre copia di ogni atto, dato e documento, anche a campione e su supporto informatico o per via telematica. Degli accertamenti è redatto sommario verbale nel quale sono annotate anche le eventuali dichiarazioni dei presenti. Ai soggetti presso i quali sono eseguiti gli accertamenti è consegnata copia dell'autorizzazione del presidente del tribunale, ove rilasciata. I medesimi soggetti sono tenuti a farli eseguire e a prestare la collaborazione a tal fine necessaria. In caso di rifiuto gli accertamenti sono comunque eseguiti e le spese in tal caso occorrenti sono poste a carico del titolare con il provvedimento che definisce il procedimento, che per questa parte costituisce titolo esecutivo ai sensi degli articoli 474 e 475 del codice di procedura civile. Gli accertamenti, se effettuati presso il titolare o il responsabile, sono eseguiti dandone informazione a quest'ultimo o, se questo è assente o non è designato, agli incaricati. Agli accertamenti possono assistere persone indicate dal titolare o dal responsabile.

46 IL POTERE DI ACCERTAMENTO E DI CONTROLLO DEL GARANTE (ARTT. 157-160) Se non è disposto diversamente nel decreto di autorizzazione del presidente del tribunale, l'accertamento non può essere iniziato prima delle ore sette e dopo le ore venti, e può essere eseguito anche con preavviso quando ciò può facilitarne l'esecuzione. Quando emergono indizi di reato il Garante segnala il caso alla competente Procura della Repubblica.

47 LE ISPEZIONI DEL 2005 Nel 2005 si è registrato un importante incremento delle attività ispettive del Garante (+130% rispetto al 2004) in conseguenza di un processo di potenziamento delle attività di controllo dell’Autorità. Il Garante, ha investito in modo significativo sull’attività ispettiva attraverso:

48 LE ISPEZIONI DEL 2005 - una revisione e un potenziamento organizzativo del Dipartimento che cura tale attività; - la firma di un nuovo protocollo di intesa con la Guardia di Finanza (11 Novembre 2005); - l’introduzione di una nuova procedura di programmazione delle attività ispettive tesa ad intensificare ulteriormente il controllo su determinati settori di volta in volta individuati in ragione di una più specifica attività di analisi.

49 PIANO ISPEZIONI DEL 2006 Estratto dal comunicato Stampa del garante del 18 Ottobre 2006: “ Il piano di verifiche programmato prevede una serie di accertamenti anche in altri settori, sia in ambito pubblico che privato. Gli accertamenti riguarderanno, ad esempio, il settore sanitario relativamente ai trattamenti di dati finalizzati alla somministrazione di farmaci e alla fornitura di prestazioni sanitarie. Sotto la lente del Garante anche il rispetto delle norme per quanto riguarda le misure minime di sicurezza sia da parte delle amministrazioni pubbliche sia da parte dei privati”.

50 PIANO ISPEZIONI DEL 2006 “Le ispezioni avranno altresì come obiettivo l’attività di quanti trattano dati personali per la fornitura di beni e servizi mediante varie forme di vendita a distanza e da parte dei siti web. Inoltre verrà verificata la correttezza dei trattamenti effettuati da società farmaceutiche e la gestione dei dati personali da parte di banche o finanziarie. I soggetti privati e le pubbliche amministrazioni verranno poi controllati per accertare in particolare il rispetto degli obblighi di notificazione, e le modalità con cui rendono ai cittadini le informative previste dal Codice della privacy”.

51 CONTROLLI E SANZIONI DELLA GDF Solo per citare alcuni casi recenti di controlli effettuati presso aziende e di sanzioni comminate, si segnala quanto segue: 27 Giugno 2006 La Guardia di Finanza ha multato per 78.000 euro un’azienda per il mancato adeguamento del proprio sito web. Due sono state le violazioni contestate all'azienda: - la prima, che prevede una pena pecuniaria di euro 60.000 per la mancata notifica al garante del trattamento di dati sensibili (infatti, l'azienda multata profila on-line i gusti e le tendenze dei suoi utenti attraverso un modulo di registrazione). - la seconda, che prevede una pena pecunaria di euro 18.000, per la non ideoneità della informativa on-line e la mancata richiesta di esplicito consenso al trattamento. L'azienda multata ha la possibilità di versare un terzo delle sanzioni dovute (euro 26.000) se effettua il pagamento entro 60 giorni.

52 CONTROLLI E SANZIONI DELLA GDF 7 Luglio 2006 Sanzionata duramente una società che non solo aveva inviato comunicazioni commerciali senza il preventivo consenso dei destinatari, ma che non ha neppure rispettato il blocco di tali invii disposto dal Garante. Per tale condotta, il Garante, oltre a comminare la sanzione amministrativa di 15.000 euro, ha denunziato il fatto alla magistratura..

53 IL PROGETTO DI ADEGUAMENTO PRIVACY

54 IL PROGETTO DI ADEGUAMENTO PRIVACY Obiettivi 1.Realizzare la documentazione prevista dalla normativa; 2.Definire le procedure ed individuare le responsabilità; 3.Implementare le misure di sicurezza; 4.Pianificare la formazione del personale.

55 IL PROGETTO DI ADEGUAMENTO PRIVACY Realizzare la documentazione La normativa richiede la realizzazione di un’ampia gamma di documenti rivolti a figure diverse: –Soggetti interessati ai trattamenti –Incaricati del trattamento –Responsabili del trattamento –Incaricati del trattamento esterno

56 IL PROGETTO DI ADEGUAMENTO PRIVACY Realizzare la documentazione I principali documenti che devono essere realizzati sono: –Modelli di informativa (differenziati per categorie di soggetti) –Modelli di raccolta del consenso (ove richiesto) –Istruzioni agli incaricati interni ed esterni (contenenti gli “ambiti di trattamento” individuati) –Nomine dei responsabili interni ed esterni, ove nominati

57 IL PROGETTO DI ADEGUAMENTO PRIVACY Realizzare la documentazione La realizzazione della documentazione comprende: –la definizione dei testi dei documenti –l’individuazione dei soggetti a cui i documenti devono essere indirizzati –la definizione delle modalità e delle procedure di distribuzione e raccolta dei documenti

58 IL PROGETTO DI ADEGUAMENTO PRIVACY Definire procedure e responsabilità Le procedure definite devono essere: –adeguate alla struttura aziendale –di semplice applicazione –chiaramente documentate –semplicemente manutenibili –caratterizzate dal minimo impatto sui costi aziendali

59 IL PROGETTO DI ADEGUAMENTO PRIVACY Definire procedure e responsabilità Viene pertanto realizzato il Manuale delle Procedure Privacy: –Strutturato per area applicativa e processo –Riportante i riferimenti normativi –Indicante le responsabilità –Contenente il allegato i modelli di documenti da utilizzare –Dotato di una struttura “a schede” per una più semplice manutenzione

60 IL PROGETTO DI ADEGUAMENTO PRIVACY Implementare le misure di sicurezza La definizione di un’insieme di misure di sicurezza adeguate alla protezione dei dati personali trattati mediante strumenti informatici o meno è un obbligo fondamentale previsto dalla normativa. In particolare deve essere assicurata la piena attuazione delle misure minime di sicurezza obbligatorie previste dal Disciplinare Tecnico allegato al Testo Unico.

61 IL PROGETTO DI ADEGUAMENTO PRIVACY Implementare le misure di sicurezza Si deve procedere pertanto: –all’analisi del sistema informatico esistente –all’analisi delle misure di sicurezza esistenti –alla “gap analisys” tra le misure esistenti e quelle previste dalla normativa –ad una valutazione tecnico-organizzativa complessiva delle policy di sicurezza esistenti a fronte dei livelli di rischio esistenti e della tecnologia dei sistemi informatici

62 IL PROGETTO DI ADEGUAMENTO PRIVACY Implementare le misure di sicurezza L’implementazione delle misure di sicurezza verrà conclusa e documentata con la stesura del Documento Programmatico sulla Sicurezza, obbligo previsto dal Disciplinare Tecnico.

63 IL PROGETTO DI ADEGUAMENTO PRIVACY Pianificare la formazione La definizione e la realizzazione di un piano di formazione rivolto a tutti gli incaricati del trattamento è un obbligo previsto dalla normativa La formazione riguarda: –I contenuti della normativa –Le misure di sicurezza ed i comportamenti relativi

64 IL PROGETTO DI ADEGUAMENTO PRIVACY Pianificare la formazione La pianificazione prevede: –La definizione degli strumenti formativi –La tempificazione degli interventi per gruppi di incaricati –La documentazione della pianificazione e dello svolgimento delle attività di formazione all’interno del DPS, utilizzando il software relativo

65 IL PROGETTO DI ADEGUAMENTO PRIVACY La metodologia La metodologia dell’intervento prevede i seguenti step: –individuazione dei trattamenti –individuazione dei processi –individuazione degli obblighi –definizione delle modalità di assolvimento degli obblighi –definizione della documentazione –definizione delle procedure

66 IL PROGETTO DI ADEGUAMENTO PRIVACY Pianificare la formazione Le attività previste vanno realizzate mediante: –interviste con i responsabili delle aree coinvolte e distribuzione di modulistica di raccolta –documentazione delle informazioni raccolte –proposta di documentazione e di procedure –discussione di documentazione e procedure –approvazione della documentazione e delle procedure

67 IL PROGETTO DI ADEGUAMENTO PRIVACY Risultati attesi • Individuazione dei trattamenti in essere • Individuazione degli incaricati e dei relativi ambiti di trattamento • Definizione delle procedure • Definizione della documentazione • Definizione delle responsabilità • Adozione delle misure di sicurezza • Stesura del Documento Programmatico sulla Sicurezza

68 IL PROGETTO DI ADEGUAMENTO PRIVACY Team di Progetto • Capo progetto interno –Project management •Planning temporale •Organizzazione degli incontri •Organizzazione logistica •Problem solving – Validazione della documentazione – Validazione delle procedure

69 IL PROGETTO DI ADEGUAMENTO PRIVACY Team di progetto • Responsabili di area –Partecipazione a riunioni –Fornitura di informazioni a mezzo modulistica –Partecipazione alla definizione della documentazione e delle procedure di proprio interesse –Diffusione di documentazione e procedure all’interno dell’area

70 IL PROGETTO DI ADEGUAMENTO PRIVACY Risultati finali Il risultato dell’intervento è il completo adeguamento dell’azienda agli obblighi previsti dalla normativa. E’ indispensabile che il livello di adeguamento raggiunto venga mantenuto nel tempo, assicurando la piena autonomia dell’azienda nelle attività gestionali quotidiane. Il ruolo dei consulenti pertanto diventa quello di eseguire periodiche verifiche del mantenimento degli standard definiti.

71 Avv. Alessandro del Ninno Responsabile del Dipartimento di Information & Communication Technology Studio Legale Tonucci Via Principessa Clotilde n. 7 00196 Roma e-mail: adelninno@tonucci.it sito web: www.tonucci.it www.sunapsis.it